Sophos Firewall DHCP Relay instellen en testen

Een DHCP Relay stuurt DHCP-verzoeken uit een clientnetwerk door naar een server in een ander netwerk. Op de Sophos Firewall opent men Network > DHCP, maakt men onder Relay een agent voor de clientinterface en voert men het IP-adres van de DHCP-server in.

Korte procedure: clientinterface selecteren, DHCP-server invoeren, de juiste scope en het retourpad op de server controleren, de lease vernieuwen en de uitwisseling vastleggen met port 67 or port 68. Relay through IPsec wordt alleen bij policy-based IPsec ingeschakeld, niet bij een route-based VPN.

In het voorbeeld worden het clientnetwerk 10.20.0.0/24, de relay-interface 10.20.0.1 en de DHCP-server 172.16.16.17 gebruikt.

Voorwaarden en beperkingen

De DHCP-server moet een scope voor 10.20.0.0/24 hebben. De Sophos Firewall deelt de lease niet zelf uit, maar gebruikt het adres van de relay-interface zodat de server de juiste scope selecteert. Als de firewall in plaats daarvan adressen rechtstreeks in het aangesloten clientnetwerk moet uitdelen, is Sophos Firewall als DHCP-server configureren de passende handleiding. DHCP-opties worden geconfigureerd op de server die de lease uitgeeft.

Voor de configuratie gelden deze beperkingen:

• De relay-interface bevindt zich in hetzelfde subnet als de clients en mag niet de interface van de DHCP-server zijn.
• Relay agents zijn mogelijk op fysieke en virtuele interfaces zoals VLAN, Wireless of Bridge, maar niet op een Interface Alias.
• In het subnet van de DHCP-server wordt geen relay agent aangemaakt.
• Voor elk clientsubnet wordt een afzonderlijke relay agent aangemaakt.
• Per relay agent kunnen maximaal acht DHCP-servers worden opgegeven. Het verzoek gaat naar alle servers; de client gebruikt het eerste Offer.
• Een DHCPv4-server en DHCPv4 Relay kunnen tegelijkertijd op dezelfde firewall actief zijn, maar niet op dezelfde interface.
• Een DHCPv6-server en DHCPv6 Relay kunnen niet tegelijkertijd op dezelfde firewall actief zijn.
• Tussen client en relay zijn UDP 67 en 68 nodig; relay en server communiceren via UDP 67. De server moet een retourpad naar het relay-IP 10.20.0.1 hebben.

Meerdere relay-doelen moeten voor dezelfde client identieke scopes en opties leveren. Verschillende antwoorden veroorzaken anders gedrag dat moeilijk te reproduceren is.

DHCP Relay zonder VPN instellen

1. Open Network > DHCP.
2. Klik onder Relay op Add.
3. Voer een unieke naam in, zoals relay-clients-vlan20.
4. Selecteer IP version.
5. Kies onder Interface de clientinterface VLAN20 - 10.20.0.1.
6. Voeg onder DHCP server IP de server 172.16.16.17 toe.
7. Laat Relay through IPsec uitgeschakeld en sla de configuratie op.

Vernieuw daarna een lease met een testclient. Als de client geen adres krijgt, controleer dan eerst of de server een scope voor 10.20.0.0/24 heeft en een route naar de relay-interface kent. Bij VLAN-problemen helpt Sophos Firewall VLAN-interface configureren.

DHCP Relay via route-based IPsec

Sinds SFOS 21.0 documenteert Sophos DHCP Relay via XFRM naar een externe DHCP-server achter de centrale firewall. De gedocumenteerde opzet gebruikt een route-based Any-to-Any-tunnel. Route-based Traffic Selectors zijn voor deze procedure niet bevestigd.

Hiervoor zijn nodig:

1. Any-to-Any-IPsec-verbindingen op beide firewalls.
2. Geadresseerde XFRM-interfaces met gateway.
3. Statische, SD-WAN- of dynamische routes van de relay naar de DHCP-server en van de server terug naar het relay-IP 10.20.0.1.
4. Toegestane IPsec-toegang onder Administration > Device access voor de betrokken WAN-interfaces.
5. Een regel op de centrale locatie van VPN naar de serverzone met Source 10.20.0.1, Destination 172.16.16.17 en Service DHCP.

Op de nevenlocatie wordt de clientinterface als relay agent ingesteld; Relay through IPsec blijft uitgeschakeld. Het relay-verzoek is daar systeemgegenereerd verkeer en heeft geen eigen firewallregel nodig. De configuratie van de tunnel en XFRM-routes wordt uitgebreid beschreven in Site-to-Site IPsec op Sophos Firewall instellen.

⚠️ Deze route-based procedure geldt voor een externe DHCP-server achter de centrale firewall. Een interface van Sophos Firewall als centrale DHCP-server wordt in deze opzet niet ondersteund.

DHCP Relay via policy-based IPsec

Bij policy-based IPsec wordt op de nevenlocatie Relay through IPsec ingeschakeld. De lokale en externe subnetten van de IPsec-verbinding moeten de relay-interface en DHCP-server omvatten. Als een externe DHCP-server achter de centrale firewall staat, zijn daar twee regels nodig:

• Van VPN naar de serverzone: relay-netwerk naar DHCP-server, Service DHCP.
• Van de serverzone naar VPN: DHCP-server naar clientnetwerk, Service DHCP.

Voor de gedocumenteerde policy-based procedure moet het bronadres van het systeemgegenereerde relay-verkeer met sys-traffic-nat op het relay-IP worden ingesteld. De volgende opdrachten worden na de SSH-login in de Device Console uitgevoerd. Onder SFOS 22.0 is voor dit systeemgegenereerde verkeer geen extra system ipsec_route nodig.

Leg vóór de wijziging de huidige status vast:

show advanced-firewall

⚠️ sys-traffic-nat add wijzigt de globale NAT-configuratie voor systeemgegenereerd verkeer. Destination en bronadres moeten bij de IPsec-tunnel en het retourpad passen.

In het voorbeeld wordt het bronadres van de relay-interface voor verkeer naar de DHCP-server vastgelegd:

set advanced-firewall sys-traffic-nat add destination 172.16.16.17 snatip 10.20.0.1

Voer daarna opnieuw show advanced-firewall uit en controleer of precies deze vermelding aanwezig is. De server moet 10.20.0.1 via de tunnel kunnen bereiken.

Rollback:

set advanced-firewall sys-traffic-nat delete destination 172.16.16.17 snatip 10.20.0.1

Andere policy-based routingsituaties en oudere SFOS-procedures worden uitgelegd in IPsec-route op Sophos Firewall maken.

Als de centrale locatie zelf DHCP-server is

Als de centrale Sophos Firewall bij policy-based IPsec zelf als DHCP-server werkt, wordt onder Network > DHCP > Server een serverscope aangemaakt of bewerkt. Schakel Accept client request via relay in, voer een leasebereik uit 10.20.0.0/24 in en stel 10.20.0.1 als gateway in. Voer op de relay agent bij DHCP server IP de serverinterface van de centrale firewall in; het adres hiervan vervangt dan 172.16.16.17 in het voorgaande NAT-voorbeeld.

Toon daarna de status in de centrale Device Console:

system dhcp lease-over-IPSec show

⚠️ De volgende instelling werkt globaal voor DHCP-leases via IPsec. Schakel deze alleen in op de firewall die zelf de leases uitgeeft.

Schakel de instelling in en controleer deze daarna met de voorgaande show-opdracht:

system dhcp lease-over-IPSec enable

Rollback:

system dhcp lease-over-IPSec disable

Werking testen en problemen oplossen

Een opgeslagen relay agent bewijst niet dat de configuratie werkt. Vernieuw met een testclient de lease en stel onder Diagnostics > Packet capture > Configure in het veld Enter BPF string een beperkt filter in:

port 67 or port 68

In de pakketstroom moeten achtereenvolgens het clientverzoek, het doorgestuurde verzoek, het Server Offer en het retourpad zichtbaar zijn. De bediening en velden worden uitgelegd in Packet Capture in Sophos Firewall WebAdmin.

Typische fouten kunnen als volgt worden afgebakend:

• Geen clientverzoek zichtbaar: controleer VLAN, switchpoort, clientinterface of de lokale DHCP-client.
• Het verzoek bereikt de firewall maar wordt niet doorgestuurd: controleer relay-interface, server-IP, route en bij policy-based IPsec Relay through IPsec.
• De server ontvangt het verzoek maar antwoordt niet: controleer de scope voor het relay-subnet, serverautorisatie en de lokale firewall van de server.
• Het Offer bereikt de centrale locatie maar niet de client: controleer retourroute, centrale firewallregels, IPsec-subnetten en NAT-vermelding.
• De client krijgt een onjuiste configuratie: bepaal welke server als eerste antwoordt en vergelijk scopes en DHCP-opties op alle relay-doelen.

Veelgestelde vragen